Unterauftragsverarbeiter und Dienstleister
Entwurf, nicht durch Anwalt oder Datenschutzbeauftragten geprüft.
Diese Übersicht nennt die Unterauftragsverarbeiter, die die Aetheris GmbH, Zur Lay 22, 54570 Schutz, für novaKlarwerk einsetzt, sowie die Dienstleister, die die Firma für ihren eigenen Betrieb nutzt. Maßgeblich für Kunden von novaKlarwerk ist Anlage 2 des Vertrags zur Auftragsverarbeitung (AVV) in der jeweils geltenden Fassung; diese Seite gibt deren Inhalt wieder. Die Schutzmaßnahmen beschreibt das Dokument TOM. Kontakt für Fragen: kontakt@aetheris-gmbh.de.
novaKlarwerk: Unterauftragsverarbeiter (Anlage 2 AVV)
| Name | Sitz | Leistung | Datenkategorien | Ort der Verarbeitung | Drittland / Garantie | Seit |
|---|---|---|---|---|---|---|
| Hetzner Online GmbH | Deutschland | Serverbetrieb, Datenbank, Datei- und Sicherungsspeicher (die gesamte Anwendung läuft auf dieser Infrastruktur) | alle in novaKlarwerk verarbeiteten Daten: Konto- und Vertragsdaten, Fachdaten der Buchführung, Belege und Dateien, Korrespondenz, Protokolle | Deutschland; nach § 3 Abs. 1 des Vertrags ausschließlich EU/EWR | kein Drittland; Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Fassung 1.2 vom 16.02.2026); TOM der Rechenzentren am 19.02.2026 durch die TÜV Rheinland i-sec GmbH geprüft (Bericht 63017991-01), ohne festgestellte Abweichungen | Vertrag vom 16.02.2026; Beginn der Nutzung offen |
| Anthropic PBC | USA | KI-Analyse hochgeladener Dokumente, Texterkennung auf Fotos von Visitenkarten (das Foto wird nicht gespeichert), Beratungsanfragen, Auswertung eingegangener E-Mails; Partner- und Kontaktrecherche über Websuche und Seitenabruf des Anbieters | Inhalte hochgeladener Dokumente; Visitenkartenfotos; Beratungsanfragen; Anhänge eingegangener E-Mails; beim Auswerten einer Nachricht ihr Inhalt mit Absender, Empfänger, Betreff und Datum; bei Antworten auf Verkaufsbelege und Mahnungen Betreff und Antworttext ohne zitierten Verlauf; bei der Recherche Name und, soweit hinterlegt, Ort, USt-IdNr., Organisation, E-Mail-Adresse und Website sowie sichtbarer Text öffentlicher Seiten dieser Website | USA | Drittland; Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914, Module 2 und 3) als Bestandteil des Data Processing Addendum, das über die Commercial Terms Vertragsbestandteil ist. Das EU-US Data Privacy Framework wird nicht als Grundlage herangezogen. Nur solange die KI-Auswertung eingeschaltet ist (Voreinstellung: ein; abschaltbar für die gesamte Gesellschaft) | offen (Vertragsgrundlage geprüft am 10.08.2026) |
| netcup GmbH | Deutschland (Karlsruhe) | Versand und Empfang von E-Mails der Plattform: Anmelde-, Bestätigungs- und Passwortmails, Rechnungen, Mahnungen und Korrespondenz über die Absenderadresse von novaKlarwerk sowie Eingang von E-Mails an die Klarwerk-Adressen | E-Mail-Adressen, Namen, Inhalte und Anhänge der versandten und empfangenen E-Mails, Verbindungsdaten des Mailverkehrs | Mailserver in Deutschland | kein Drittland; Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen | in Anlage 2 seit 30.09.2026; Beginn der Nutzung offen |
| IONOS SE | Deutschland | Verwahrung der ausgelagerten Sicherungen auf einem zweiten, räumlich getrennten Server; dazu der für eine Wiederherstellung nötige geheime Schlüssel, zusätzlich kennwortgeschützt | Datenbank- und Dateisicherungen (alle Datenkategorien von novaKlarwerk), ausschließlich mit OpenPGP verschlüsselt | Deutschland (nach der RIPE-Registrierung des Netzes) | kein Drittland; Auftragsverarbeitungsvertrag: offen | in den Rechtstexten seit 10.10.2026; Auslagerung belegt seit spätestens 21.09.2026 |
Hinweise aus der Quelle:
- Anlage 3 des Vertrags mit Hetzner nennt Unterauftragnehmer in den USA und in Singapur. Sie betreffen nur Kunden mit dortigem Serverstandort; die Server von novaKlarwerk stehen in Deutschland.
- Der Server bei IONOS holt die verschlüsselten Sicherungen selbst ab; der Produktivserver hat keinen Zugang zu ihm. Ohne das Kennwort lässt sich der dort verwahrte Schlüssel nicht verwenden. Wie lange die Kopien dort aufbewahrt werden, sichert novaKlarwerk nicht zu.
- Ein Zahlungsdienstleister ist nicht aufgeführt, weil novaKlarwerk derzeit keine Zahlung abwickelt. Wird einer eingerichtet, wird Anlage 2 vorher ergänzt.
novaKlarwerk: Empfänger, die keine Unterauftragsverarbeiter sind
| Name | Sitz | Leistung | Einordnung | Bedingung |
|---|---|---|---|---|
| finAPI GmbH | München, Deutschland | Kontoinformationsdienst: Abruf von Umsätzen und Salden der Bankkonten, die der Kunde selbst angebunden hat | Für den Kontozugriff eigener Verantwortlicher (Art. 4 Nr. 7 DSGVO), erlaubnispflichtiger Kontoinformationsdienst unter Aufsicht der BaFin. Bankzugangsdaten (PIN, TAN) erreichen die Server der Aetheris GmbH nicht. Für das technische Nutzerkonto je Gesellschaft ist ein Auftragsverarbeitungsvertrag mit finAPI vorgesehen, sobald der Bankabruf aktiviert ist. | nur wenn der Kunde den Online-Bankabruf einrichtet; Alternative ist der Dateiimport ohne Dritte |
Vom Kunden selbst eingebundene Dienste sind keine Unterauftragsverarbeiter der Aetheris GmbH: das eigene E-Mail-Postfach (Abholung per IMAP) und der eigene Postausgang (SMTP). Anbieter und Zugang wählt allein der Kunde; die Zugangsdaten werden mit einem Schlüssel des Betreibers verschlüsselt gespeichert.
Eigene Dienste der Aetheris GmbH auf derselben Serverinfrastruktur (keine Dritten): Aetheris Toolbox (Text- und Dokumentenerkennung, Gateway für das Sprachmodell), Aetheris Audit (hash-verkettetes Änderungsprotokoll), die Dateiablage der Originaldokumente (je Mandant getrennt) und der Aetheris Account Service (Vertrags-, Rechnungs- und Zahlungsverwaltung).
Dienstleister der Aetheris GmbH für den eigenen Betrieb
| Name | Sitz | Leistung | Datenkategorien | Ort der Verarbeitung | Drittland / Garantie | Seit |
|---|---|---|---|---|---|---|
| Hetzner Online GmbH | Gunzenhausen, Deutschland | Hosting der Unternehmenswebsite und der Server, auf denen die Produkte und die Quelltextverwaltung der Firma laufen | Zugriffsdaten der Websitebesucher (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browsertyp); alle auf den Servern verarbeiteten Daten | Deutschland | kein Drittland; Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Fassung 1.2 vom 16.02.2026) | Vertrag vom 16.02.2026 |
| netcup GmbH | Karlsruhe, Deutschland | E-Mail-Postfächer der Firma; DNS-Zone der Domain von novaKlarwerk | Inhalte, Absender und Empfänger der E-Mails; DNS-Einträge (keine personenbezogenen Daten Dritter) | Deutschland | kein Drittland; Auftragsverarbeitungsvertrag für novaKlarwerk geschlossen, für die Firmenpostfächer offen | offen |
| IONOS SE | Deutschland | Verwahrung der verschlüsselten Sicherungen aller gesicherten Anwendungen der Firma auf einem zweiten Server | verschlüsselte Datenbank- und Dateisicherungen | Deutschland (nach der RIPE-Registrierung des Netzes) | kein Drittland; Auftragsverarbeitungsvertrag offen | belegt seit spätestens 21.09.2026 |
Weitere Produkte der Aetheris GmbH nennen ihre Unterauftragsverarbeiter in ihren eigenen Rechtstexten. Die Verarbeitungstätigkeiten der Firma stehen im VVT, die Fristen im Löschkonzept.
Offene Punkte
- Auftragsverarbeitungsvertrag mit IONOS SE: im Repo nicht belegt (offen seit Paket 228). Klärt: Geschäftsführung, Vertrag prüfen und ablegen.
- Auftragsverarbeitungsvertrag mit netcup für die Firmenpostfächer: belegt ist nur die Bestätigung für novaKlarwerk (30.09.2026); ob derselbe Vertrag die Postfächer der Firma abdeckt, ist offen. Klärt: Geschäftsführung.
- Beginn der Nutzung von Hetzner, Anthropic und netcup: in den Quellen nicht datiert. Klärt: Geschäftsführung anhand der Verträge oder Rechnungen.
- Aufbewahrungsdauer bei IONOS: vom Produktivserver aus nicht messbar und nirgends dokumentiert. Klärt: Geschäftsführung (Zugang zum zweiten Server).
- Auftragsverarbeitungsvertrag mit finAPI: laut Quelle vor Aktivierung des Bankabrufs abzuschließen; ob der Bankabruf in der Produktion bereits aktiviert ist, ist hier nicht belegt. Klärt: Geschäftsführung.
- Weitere Dienstleister der Firma (zum Beispiel Steuerberatung, Bank, Telefonie, Domainverwaltung der übrigen Domains, Endgeräte und Bürosoftware) sind in den Quellen nicht erfasst. Klärt: Geschäftsführung.
- Sitz Hetzner: die Anlage 2 des AVV nennt „Deutschland“, die Datenschutzerklärung der Website „Gunzenhausen“; inhaltlich kein Widerspruch, aber bei der nächsten Fassung angleichen.